Zachovejte navázaný návratový provoz pro odchozí SOCKS spojení SSH

Přihlášení SSH může přežít, i když serverový firewall zahazuje odpovědi webů přicházející na efemérní místní porty.

Pokud se prohlížení přes SOCKS po změnách firewallu SSH serveru rozbije, neposuzujte celou cestu podle přeživšího shellu SSH. Server otevírá samostatná cílovaná TCP spojení pro dynamické přesměrování.

Jejich odpovědi přicházejí na efemérní porty, které server vybírá. Politika povolující nový příchozí provoz jen ke službě SSH může tyto pakety zahodit, pokud není navázaný provoz přijímán.

V existující sadě pravidel IPv4 iptables je fragment stavu spojení tento:

-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Umístěte jej před odpovídající koncové drop/reject. Propouští sledovaný návratový provoz, nikoli každé nové spojení na vysoký port.

K ověření této příčiny použijte zahozený tuple a stav. OUTPUT musí povolit navazující spojení a cesty IPv6 potřebují svá platná pravidla. Vyjednávání SOCKS, transport SSH a cílový provoz jsou samostatné fáze k prozkoumání.

Související články